华为eNSP防火墙基本配置命令

VRP命令行

VRP系统命令采用分级保护方式，命令被划分为参观级、监控级、配置级、管理级4个级别。

• 参观级：网络诊断工具命令（ping、tracert）、从本设备出发访问外部设备的命令（包括：Telnet客户端、SSH、Rlogin）等，该级别命令不允许进行配置文件保存的操作。
• 监控级：用于系统维护、业务故障诊断等，包括display、debugging命令，该级别命令不允许进行配置文件保存的操作。
• 配置级：业务配置命令，包括路由、各个网络层次的命令，这些用于向用户提供直接网络服务。
• 管理级：关系到系统基本运行，系统支撑模块的命令，这些命令对业务提供支撑作用，包括文件系统、FTP、TFTP、Xmodem下载、配置文件切换命令、备板控制命令、用户管理命令、命令级别设置命令、系统内部参数设置命令等。

---

防火墙基本配置流程

• 配置网络：使网路互联互通
• 配置对象：管理所有策略的共用元素
• 配置策略：进行网络安全防护和流量管理

---

配置接口模式

①进入系统视图
system-view

②进入接口视图
interface interface_type interface_number

③配置三层以太网接口或者二层以太网接口

• 配置三层以太网接口
  ip address ip-address {mask | mask-length}
• 配置二层以太网接口
  portswitch

---

配置安全区域

①进入系统视图
system-view

②创建安全区域（或进入已存在的安全区域），并进入相应的安全区域视图
firewall zone [name] zone_name

• 安全区域已经存在：不必配置关键字name，直接进入安全区域视图
• 安全区域不存在：需要配置关键字name，进入安全区域视图

③若是自建的安全区域，则需要配置安全区域的安全级别
set priority security-priority

注：系统预定义了4个安全区域：local(100)、trust(85)、dmz(50)、untrust(5)。

---

将接口加入安全区域

①进入系统视图
system-view

②进入相应的安全区域视图
firewall zone [name] zone_name

③将接口加入安全区域
add interface interface-type interfae-number

---

配置防火墙安全策略

①进入安全策略视图
security-policy

②创建安全策略规则，并进入安全策略规则视图
rule name rule-name

③配置安全则略规则的源安全区域和目的安全区域（本文只是展示安全策略的一部分，更详细的部分在后面继续展示）
source-zone {zone-name & <1-6> | any}
destination-zone {zone-name & <1-6> | any}

④配置对匹配流量的包过滤动作
action {permit | deny}

---

配置路由

• 配置静态路由
  ①进入系统视图
  system-view

  ②增加一条静态路由
  ip route-static ip-address{mask | mask-length} {interface-type interface-number | next-ip-address} [preference value] [reject | blockhole]

• 配置缺省路由
  ①进入系统视图
  system-view

  ②配置缺省路由
  ip route-static 0.0.0.0 {0.0.0.0 | 0} {interface-type interface-number | next-ip-address} [preference value] [reject | blockhole]

---

设置地址集和服务集

①地址集
ip address-set address-set-name type [object | group]
address 0 192.168.5.2 0
address 1 192.168.5.3 0
address 2 192.168.5.6 0

②服务集
ip service-set service-set-name type [object | group]
service prorocol tcp destination-port 80
service protocol tcp destination-port 8080
service protocol tcp destination-port 8443

注：

• 可用 display predefined-service 查看预定义服务的详细信息
• 当type为group时，可以添加地址集和服务集作为成员